Dator- och nätverksteknik · område 10 · lektion 55 och 56

VLAN och gränsen för en broadcast

Hittills har gränsen för en broadcast gått vid routern — en fysisk låda med en kabel i varje nät. Här dras samma gräns mitt i en switch, utan att en enda kabel flyttas. Ett VLAN delar switchens portar i flera broadcastdomäner. Två maskiner som når varandra slutar göra det — fast de behåller sina adresser, i samma nät, med samma mask. Sedan fångas broadcasten vid VLAN-gränsen och jämförs med den från lektion 52. Sist det viktigaste i hela labb 10: att skriva varför den stannade.

1. Tre sätt att dra en gräns

De två första finns på switchsidan och routersidan. Den här sidan handlar om den tredje.

2. Vad ett VLAN är

Skolans problem: elevdatorerna och en gäst-uppkoppling i samma byggnad. De ska inte se varandras trafik — inte ens varandras broadcast. Med det du kan hittills behövs två switchar och en router.

Ett VLAN — Virtual Local Area Network, virtuellt lokalt nätverk — löser det i en switch. Varje port tilldelas ett VLAN, och switchen behandlar varje VLAN som om det vore en egen switch:

• En broadcast i VLAN 10 flödas bara till VLAN 10:s portar
• Adresstabellen hålls per VLAN — kolumnen Vlan i show mac address-table från lektion 50 får andra värden än 1
• Ingenting i kabeln eller hårdvaran ändras. Bara en inställning per port

Skälet är sällan bara tekniskt. Det är ordning, och det är pengar: trafik som inte ska blandas hålls isär utan att en enda kabel eller switch köps in.

3. VLAN-planen

Planen gäller den första switchen, nät A:

Två saker i planen är avsiktliga:

• Porten mot routern ligger i VLAN 10. Då fortsätter VLAN 10 att vara nät A, med gateway och väg till nät B. VLAN 20 blir ensamt
• Maskinerna i VLAN 20 behåller sina adresser. De är fortfarande i 192.168.<grupp>.x, samma nät som VLAN 10. Pingen som misslyckas kan därför bara ha stoppats av VLAN:et

Namnet skrivs GAST, inte GÄST — IOS tar inte å, ä och ö.

4. Switchen delas

I parets kopia, på den första switchen:

1. Läs av portkartan: vilken port har servern, vilka har maskinerna, vilken går till routern?
2. Bestäm vilka två maskiner som går till VLAN 20. Skriv upp det
3. Pinga mellan en av dem och en maskin som stannar i VLAN 10. Det går
4. Konfigurera VLAN 10 och 20 i switchens CLI, och tilldela portarna — porten mot routern i VLAN 10. Konfigurationen står nedan
5. show vlan brief. Stämmer det mot planen?
6. Pinga igen, samma två maskiner. Det går inte
7. Pinga inom VLAN 10 och inom VLAN 20. Det går

Konfigurationen, skriven för demokopians portar. Dina portnummer är dina egna — byt dem efter parets portkarta:

enable
configure terminal
vlan 10
 name ELEVER
vlan 20
 name GAST
exit
interface range FastEthernet0/1 - 3
 switchport mode access
 switchport access vlan 10
exit
interface GigabitEthernet0/1
 switchport mode access
 switchport access vlan 10
exit
interface range FastEthernet0/4 - 5
 switchport mode access
 switchport access vlan 20
end

Cisco IOS-syntax, som resten av området — Ciscos switchar och Packet Tracer, inte alla tillverkares. Finns labbets utrustning kan samma kommandon skrivas in i en hanterbar Cisco-switch.

Anteckna portarna och VLAN:en. Tabellen är planeringsdelen i rapporten:

5. show vlan brief

Så här ser kontrollen ut i demokopian:

Switch#show vlan brief

VLAN Name        Status    Ports
---- ----------- --------- ------------------------------
1    default     active    Fa0/6, Fa0/7, … Gi0/2
10   ELEVER      active    Fa0/1, Fa0/2, Fa0/3, Gi0/1
20   GAST        active    Fa0/4, Fa0/5

VLAN 1 finns kvar med portarna ingen rört. Det är switchens standard — alla portar börjar där.

6. Varför pingen dör

Maskinen i VLAN 20 vill pinga 192.168.<grupp>.10. Samma nät, enligt masken. Den skickar alltså en ARP-broadcast. Switchen flödar den — men bara till VLAN 20:s portar. Maskinen i VLAN 10 får aldrig frågan. Ingen svarar. Pingen dör innan den ens skickats.

Pinga också nät B från VLAN 20. Det går inte heller — VLAN 20 har ingen väg till routern. Det löses på lektion 57, se trunksidan.

7. Router och VLAN jämförda

8. Ordning, inte lås

Ett VLAN håller isär trafik logiskt. Det är inte i sig ett skydd.

• Felkonfiguration — en port i fel VLAN, och en gästdator sitter bland elevdatorerna
• VLAN-hopping — tekniker där en angripare lurar switchen att skicka ramar in i ett annat VLAN

Riktig säkerhet kräver mer: behörighet, brandvägg, övervakning. VLAN är ordning, inte lås. Kursen går inte djupare än så.

9. Delningen kontrolleras

Lektion 56 börjar med att delningen är klar:

1. show vlan brief på den första switchen
2. Stämmer portarna mot parets tabell?
3. Porten mot routern i VLAN 10? Ligger den kvar i VLAN 1 når VLAN 10 inte nät B längre
4. Pinga inom VLAN 10: går. Pinga mellan VLAN 10 och 20: går inte

Slutar också pingen inom VLAN 10 att fungera har en port hamnat i fel VLAN. Jämför show vlan brief med portkartan.

10. Broadcasten vid VLAN-gränsen

I VLAN 10:

1. arp -d på en maskin i VLAN 10
2. Simulation, filter på ARP
3. Pinga en annan maskin i VLAN 10
4. Capture/Forward tills frågan nått alla den ska nå: servern, den andra maskinen, porten mot routern
5. Skärmbild. Vilka portar fick den? Vilka fick den inte?

I VLAN 20:

1. arp -d på en maskin i VLAN 20
2. Pinga 192.168.<grupp>.10 — en maskin i VLAN 10, samma nät
3. Följ frågan. Den når bara VLAN 20:s andra port. Ingen svarar. Skärmbild

Fyll i:

Tabellen säger vad bilden visar. Den ska in i rapporten, inte bara skärmbilden.

11. Jämförelsen med lektion 52

Lägg din skärmbild från lektion 52 bredvid dagens:

Och den tredje delen, från lektion 54: porten mot routern ligger i VLAN 10. Broadcasten nådde routern — och stannade där, som alltid.

12. Förklaringen skrivs

Skriv ett eget första utkast i ditt labbdokument, innan du läser vidare. Frågan att svara på:

Varför nådde broadcasten från VLAN 10 inte maskinerna i VLAN 20, fast de sitter i samma switch och har adresser i samma nät?

13. Samma mening i tre nivåer

Tre sätt att skriva om samma sak. Skillnaden är kvalitativ, inte en fråga om längd.

Skriv sedan om ditt utkast. Inte av nivåerna — efter dem. Målet är att nå ett steg högre än utkastet. Fråga dig: står det varför, eller bara vad?

Står det för att de är i olika nät har du blandat ihop med lektion 53. På lektion 55 var de i samma nät, med samma mask. Det var VLAN:et.

14. Vanliga missuppfattningar

15. Ordlista